デジタル庁が運用する政府共通の業務システム「ガバメントソリューションサービス（GSS）」で不正アクセスが発生し、政府職員や関係事業者などの個人情報を含むファイルが外部に漏えいした可能性があることが明らかになりました。
漏えいの可能性がある情報は約24.6万件にのぼります。
「デジタル庁で何があったの？」「自分の情報は大丈夫？」「マイナンバーは漏れた？」と不安に感じている人も多いのではないでしょうか。
結論からいうと、今回公表された情報では一般市民の個人情報は含まれておらず、マイナンバーや金融機関口座情報なども含まれていないとされています。
一方で、政府の共通システムが不正アクセスを受けたという事実は大きな問題です。
この記事では、今回の情報漏えいの可能性について、何が起きたのか、なぜ不正アクセスを許したのか、誰に影響があるのかをわかりやすく整理します。
デジタル庁の情報漏えいで何が起きたのか
今回問題となったのは、デジタル庁が提供する「ガバメントソリューションサービス（GSS）」です。
GSSは、政府機関などが業務を行うための共通のシステム環境として利用されています。
そのシステムに対し、第三者による不正アクセスが行われ、個人情報を含むファイルの一部が外部に漏えいした可能性があることが判明しました。
デジタル庁によると、不審な動きが検知されたのは2026年6月25日です。
保守運用担当者のアカウントを利用して、サーバー上の大量のファイルにアクセスする動きが確認され、調査が始まりました。
その後の調査で、第三者がネットワーク接続機器であるVPNの脆弱性を利用してシステムに侵入していたことが判明しています。
漏えいした可能性がある情報は約24.6万件
今回、漏えいした可能性があるとされる情報は約24.6万件です。
対象には、GSSを利用する機関の職員や、その業務に携わった公務員などの情報が約18.9万件含まれています。
さらに、政府機関の業務に携わった事業者や個人に関する情報も約5.7万件あるとされています。
ただし、これらの数字には情報の重複が含まれるため、「24.6万人全員の情報が同じ内容で漏れた」という意味ではありません。
何の個人情報が漏れた可能性がある？
デジタル庁の発表をもとにすると、外部に漏えいした可能性がある情報には、複数の個人情報が含まれています。
主な情報は次のとおりです。
氏名やメールアドレスなどが対象
漏えいした可能性がある情報の属性別では、
・氏名：約23.6万件
・メールアドレス：約23.1万件
・電話番号：約9.4万件
・住所：約1,000件
などが確認されています。
氏名とメールアドレスが組み合わさった情報などは、なりすましメールや標的型のフィッシング詐欺に利用されるリスクもあるため、今後の対応が注目されます。
マイナンバーや銀行口座情報は含まれていない
一方で、今回の事案では、マイナンバー、金融機関の口座情報、年金番号などは含まれていないことが確認されています。
また、デジタル庁は一般の人の個人情報は含まれていないと説明しています。
そのため、「全国の国民のマイナンバー情報が漏れた」という事案ではありません。
SNSなどでは「デジタル庁で24万件の情報漏えい」という見出しだけが広がる可能性もありますが、実際に誰の情報が対象なのかを正確に理解することが重要です。
なぜ不正アクセスが起きた？原因はVPNの脆弱性か
今回の不正アクセスでは、VPN機器の脆弱性が悪用されたことが大きなポイントです。
VPNは、離れた場所から安全にネットワークへ接続するために使われる仕組みですが、機器やソフトウェアに脆弱性が存在すると、攻撃者に侵入経路を与えてしまう可能性があります。
第三者がシステムに侵入
調査の結果、第三者がVPNの脆弱性を利用してシステムに侵入していたことが判明しました。
その後、保守運用担当者のアカウントを利用する形で、大量のファイルへのアクセスが行われたとされています。
不正アクセスが確認された後、デジタル庁は当該アカウントを停止し、侵害された機器と外部との通信を遮断する対応を取りました。
今後は原因の詳細な究明が焦点
現時点で公表されている情報からは、なぜ脆弱性が悪用される状況になったのか、どのような侵入経路だったのかなど、詳細な原因については今後さらに調査が進められるとみられます。
政府の共通システムで発生した事案だけに、脆弱性への対応や監視体制が十分だったのかという点も、今後の大きな論点になりそうです。
一般の人への影響は？自分の情報は大丈夫？
今回のニュースを見て、「自分の個人情報も漏れたのでは？」と心配になった人もいるでしょう。
現時点の公表情報では、一般市民の個人情報は含まれていないとされています。
漏えいの可能性がある対象は、主にGSSを利用する政府機関の職員や、その業務に関わった公務員、事業者、個人などです。
現時点で二次被害は確認されていない
デジタル庁は、現時点で今回の情報漏えいに関連した個人情報の悪用など、二次被害は確認されていないとしています。
ただし、氏名やメールアドレス、電話番号などが漏えいした可能性がある場合、今後フィッシングメールやなりすましなどに悪用される可能性には注意が必要です。
不審なメールや電話には注意
デジタル庁を名乗るメールや電話が届いた場合でも、安易にリンクをクリックしたり、個人情報を入力したりしないことが重要です。
特に、大きな情報漏えい事件が報じられた直後は、そのニュースを悪用した詐欺が発生するケースもあります。
「情報漏えいの確認が必要です」「至急こちらから手続きをしてください」といった不自然な連絡には注意しましょう。
デジタル庁は今後どう対応する？
デジタル庁は、漏えいした可能性がある個人情報の対象者を特定し、順次個別に連絡するとしています。
また、外部の専門事業者などの協力を得ながら、原因の調査や再発防止策を進める方針です。
今回の事案では、不正アクセスを検知した後にアカウントの停止や外部通信の遮断といった対応が行われました。
しかし、約24.6万件の個人情報が外部に漏えいした可能性があることから、今後は「なぜ侵入を許したのか」「脆弱性への対応は適切だったのか」といった点について、より詳しい説明が求められることになりそうです。
まとめ｜デジタル庁の情報漏えいで何があったのか
今回、デジタル庁が運用するガバメントソリューションサービス（GSS）が不正アクセスを受け、約24.6万件の個人情報が漏えいした可能性があることが明らかになりました。
ポイントを整理すると、
・政府共通の業務システム「GSS」で不正アクセスが発生
・VPNの脆弱性を利用して第三者が侵入したとされる
・約24.6万件の個人情報が漏えいした可能性
・氏名、メールアドレス、電話番号、住所などが対象
・一般市民の個人情報は含まれていない
・マイナンバーや銀行口座情報なども含まれていない
・現時点で二次被害は確認されていない
という状況です。
「24.6万件」という数字だけを見ると非常に大規模な情報漏えいに感じられますが、一般国民全体の情報が流出したわけではありません。
一方で、政府の共通システムが不正アクセスを受けたことは重大な問題です。
今後、デジタル庁から新しい調査結果や再発防止策が発表される可能性もあるため、最新情報を確認していく必要がありそうです。
【出典】
・デジタル庁の情報漏えいに関するImpress Watchの記事
・Impress Watch 関連ニュース
・テレビ朝日ニュース｜デジタル庁の情報流出に関する報道
・テレビ朝日ニュース｜官房長官コメント
・マイナビニュース TECH+｜デジタル庁の不正アクセスに関する報道
